BTC 钱包风险检测与恢复评估 #1221

### 1. 一句话结论
这是一枚持有 **108.88973193 BTC** 的 Legacy 格式比特币钱包（ID 1221），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法判断资金转入/转出历史；当前唯一强证据是钱包文件本身及其路径、版本与余额字段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1221，币种 BTC，主地址 `1Hwc9ZAD9B1xUGdgiKNzJDyBjv5i7kFzAw`（字段：主地址）。
- **余额**：`108.88973193 BTC`，且业务标注为“余额很小(≤阈值)=否”，即该余额**不视为小额/低价值**（字段：余额、余额很小）。
- **文件信息**：钱包名 `wallet_108BTC / wallet_108.dat`，格式 `bitcoin_legacy_bdb`，大小 90112 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_108BTC...`（字段：钱包名称、版本/格式、文件大小、路径）。
- **时间线**：录入时间 `2026-06-23 00:41:25`，数据标注日期 `2026-06-23 00:57:32`，最近更新 `2026-08-06 11:33:00`（字段：录入时间、数据标注日期、更新时间）。
- **密码状态**：`已知密码存在(强证据)=否`，即没有任何已确认的明文密码或验证成功记录（字段：已知密码存在）。
- **链上交易**：未发现已同步的交易记录（字段：链上交易摘要）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情始于 2026 年 6 月 23 日凌晨，系统录入了一个名为 `wallet_108BTC` 的钱包文件。从路径看，它来自一批标注为“MEGA-BONUS”的 250 个比特币核心钱包数据集，文件格式为 Legacy BDB——这是比特币核心早期常用的钱包数据库格式。

我们首先确认了文件本身是完整的：90112 字节，包含一个主地址，余额字段显示为 108.88973193 BTC。随后我们检查了“是否已有已知密码”这一强证据标记，结果为否——说明此前没有任何渠道（如用户提交、历史记录、其他案件关联）提供过该钱包的明文密码或助记词。

接着我们尝试查看链上交易，但页面显示“未发现已同步的交易记录”。这意味着我们目前**无法从链上确认**这笔余额是何时进入、是否曾转出，也无法判断地址是否活跃。因此，所有关于“资金从哪来、是否动过”的结论，现阶段都只能标记为未知。

到 2026 年 8 月 6 日，该钱包记录被更新过一次，但更新内容并未改变密码状态与交易同步状态。整体推进仍停留在“已锁定文件、已确认余额、但密码未知且链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何 `direction=receive` 的转入事件。
- **转出记录**：未知。同样因未同步交易，无法确认任何 `direction=send` 的转出事件。
- **结论**：当前所有交易活动均为“未同步/未知”，不能臆断资金是否曾流动。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即业务系统**不认为** 108.88973193 BTC 是小额或低优先级钱包。这与“余额是否为 0”无关——此钱包余额远大于 0。
- **是否拿到明文密码**：否。强证据字段 `已知密码存在` 为“否”，意味着**尚未获得任何明文密码、助记词或私钥**，也没有任何验证成功记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认余额来源与最后活动时间。
2. **查找同批次钱包关联**：路径显示该文件来自“250 个钱包”数据集，排查同批次其他钱包是否已有已知密码或共享元数据（如文件名规律、创建时间）。
3. **检查文件元数据**：提取 `wallet_108.dat` 的创建时间、修改时间、原始机器信息（如有），辅助判断生成工具与时间窗口。
4. **核对主地址在公开数据源中的标签**：如交易所充值地址、已知黑名单地址、矿池支付地址等，帮助判断资金来源性质。
5. **补充用户/案件上下文**：若该钱包来自某个具体案件或用户，请提供关联的邮箱、用户名、历史工单等信息，便于定向回忆或找回。
6. **确认钱包是否曾被备份或导出**：查找同目录或同批次中是否存在 `.txt`、`.csv`、`.pdf` 等可能包含助记词或密码提示的旁车文件。
7. **检查是否有旧版钱包文件**：BDB 格式可能存在早期备份（如 `wallet.dat.bak`），旧文件可能密码策略不同或未加密。
8. **复核余额字段真实性**：确认 108.88973193 是否来自节点 RPC 实时查询，而非文件内静态值（防止文件被篡改或导入不完整）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码强证据检查**：已确认无任何 `cracked_password` 或 `actual_password` 记录，无需再次搜索“已知密码”字段。
- **链上交易同步**：已尝试查看但未发现同步记录，下一步应优先重新触发同步，而非重复人工核对地址。
- **文件完整性确认**：已确认文件大小与格式（Legacy BDB），无需重新校验文件类型。
- **余额业务标注**：已确认该钱包不属于“余额很小”的低优先级类别，不应按小额钱包流程处理。
- **未尝试方向**：同批次关联分析、文件元数据提取、旁车文件搜索——这些尚未投入，建议作为下一步重点。